forum.lissyara.su

Есть сервера Left 4 Dead, установленые на FreeBSD.Все отлично работаэт, но есть проблема с DDOS-атаками по UDP портам. Может кто подскажет нормальную защиту, пробывали ipfw и pf, но правельный конфигов так и не нашли. Нужно ограничить кол-во подключений(на ipfw не нашел limit connection udp).Помогите советом, если кто-то знает.

если канал забьют флудом
то никакой фаервол не поможет

Гость писал(а):если канал забьют флудом
то никакой фаервол не поможет

От флуда защита есть, там не сложно. А по портам UDP пока конфига неподобрали.

вы наивный и глупый
от флуда защиты нет
если вам весь канал забьют флудом, то ни один пользователь к вам не достучится к вашему айпи, а не то что к какому то порту который вы собираетесь как то ограничивать

Гость писал(а):вы наивный и глупый
от флуда защиты нет
если вам весь канал забьют флудом, то ни один пользователь к вам не достучится к вашему айпи, а не то что к какому то порту который вы собираетесь как то ограничивать

По поводу флуда есть конфиг, довольно распространённый:
kern.ipc.somaxconn=1024
net.inet.icmp.drop_redirect=1
net.inet.icmp.log_redirect=1
net.inet.ip.redirect=0
net.inet6.ip6.redirect=0
net.inet.tcp.sendspace=32768
net.inet.tcp.recvspace=32768
net.link.ether.inet.max_age=1200
net.inet.ip.sourceroute=0
net.inet.ip.accept_sourceroute=0
net.inet.icmp.bmcastecho=0
net.inet.icmp.maskrepl=0

А вот по поводу ограничений на UDP-порта, то на Линуксе есть и прекрасно работае:
http://forums.alliedmods.net/showthread.php?t=106378
Вот такое нада и на Free.

И мне флуд не столь важен сейчас, мне нужна защита от DDos-атак по портам, где запускаются игровые сервера.

весь ваш конфиг в попу, если вы не понимаете что такое флуд
и если вы на линуксе ограничиваете лимит айпи ради защиты от выдуманого ддоса, то флаг вам в руки
как вы думаете апач люди тоже ограничивают по 80 порту?
ответ - НИКОГДА, НИКОГДА, НИКОГДА
если ваши гейм сервера спроектированы что после 20 коннектов они вешаются потому что не выносят нагрузку
то выбросте их нахрен

ну а если же вы все таки дубовый и упорно хотите что то ограничивать, то флаг вам
http://forum.lissyara.su/viewtopic.php? ... 04&start=0
http://forum.lissyara.su/viewtopic.php? ... 7&start=25
http://forum.lissyara.su/viewtopic.php?f=4&t=23028

и харе меня квотить
кнопочка ОТВЕТИТЬ - слева внизу

как всетаки гость надоел :-(

топикстартер, такой возможности как в в приведенной вами ссылке в ipfw нет
надо самому писать нашлепку, но как бы нашлепка сама не сдохла от такого трафика, эх был бы ipfw модульным :-(

поддерживаю хизель не нужен
а если хизеля и ТС отправить по ссылкам выше
то они там найдут

limit {src-addr | src-port | dst-addr | dst-port} N
То же, что и keep-state, но динамическое правило заводится только в том случае, если не превышен указанный предел. Таким образом, можно легко ограничить количество одновременных подключений к некоторому хосту или порту.

кретин, эта rule опция не является законченным решением проблемы топикстаретра, открой приведенную топикстартером ссылку и включи мозги

как минимум если сувать в лог по этой rule options быстро перевалит за LOG_LIMIT :-\

сам критин
зачем что то заваливать в лог?

я же сказал - включи мозги

иди сам включай мозги
количество динамических правил максимум 8192, с него хватит как лимит
остальное в /dev/null
http://www.opennet.ru/openforum/vsluhfo ... /3505.html

но как я сказал
ТС копает не в ту сторону

покажите мне реальные примеры на промышленных апачах, когда кто то ограничивает количество коннектов в порту 80, например

я ограничиваю. а что?

ты ограничиваешь количество запросов с одного клиента(src)
а не количество запросов на сервер(dst)

Сервер выдерживает нагрузку и до 20 игровых серверов но при ддосе виснет сам сервер игры, а не машина!

Вот простой FPinger по DDos валит только игровой сервер по UDP портам

80 setup limit src-addr 15

теперь понимаю почему иногда коннекты к форуму рвутся
если много сессий(закладок открыто)

Сервер выдерживает нагрузку и до 20 игровых серверов но при ддосе виснет сам сервер игры, а не машина!

вот с сервером и боритесь!
есть inetd для ограничения
есть tcpservice(или как то так он в портах гдето, daemontools/ucspi-tcp ) его еще часто к qmail в связке прикручивали
итд

kalifcd у вас какая структура флуда, много пакетов с одного ip или много пакетов с множества ip ?

когда гость отдуплится? ему о udp он tcp подсовывает

keep-state работает в равной мере и для udp тоже
флудите дальше
скучно с вами

hizel писал(а):kalifcd у вас какая структура флуда, много пакетов с одного ip или много пакетов с множества ip ?

С одного ip много пакетов. Но проблема в том, что если забанить его ip, он переходит на другой и повторяет все заново.

на каждое уникальное входящие соединение создается пара:
<src-ip> <-> <me>
уникальность в
<src-ip><src-port> <-> <dst-ip><dst-port>
если таких пар больше 15, пользователь посылается нафиг
то есть это работает для flood-а - один клиент много соединений, от udp flood-а оно не спасет
в udp по одному соединению можно фигачить тучу пакетов без проблем, в tcp только первыми пакетами syn, но они закрыты у Лис-а раньше

лисяра двал мне ответ на мой вопрос, а не вопрос ТС
к чему обьяснения его примера?

пепла на хизеля нет что бы засыпать

Так не может быть, что на линуксе все это спокойно решаемос а на Фряхе нет((( Должно быть решение, ведь игровые сервера основном на UDP портах.

на фряхе тоже решаемо
просто вы не хотите думать, а хотите что бы вам дали готовые комнады ipfw